パッケージマネージャーの仕組み — 追加した道具はどこに記録される？

ひよこ

ライブラリを追加すると、どこに残るの？

ペンギン先生

npmの例なら、欲しい依存をpackage.json、解決した情報をpackage-lock.json、使うファイルをnode_modulesで扱うよ。まず小さな道具を1つ追加して、3つを見比べてみよう。

ひよこ

必要な道具は、どこから取ってくる？

ペンギン先生

npmレジストリ等を使うけれど、設定や依存の指定によって私設レジストリ、ローカル、Git等を使うこともある。パッケージ名と提供元、取得先を確認しよう。みんなが同じ公開の場所だけを使うわけではないんだ。

ひよこ

その道具が、ほかの道具を必要としたら？

ペンギン先生

依存の版の条件を見て組み合わせを解決するよ。ただしnpm、pip、apt等は同じ規則ではない。semverの書き方もすべてのパッケージマネージャーに共通する文法ではないんだ。

ひよこ

^なら、メジャー番号が同じなら何でもいい？

ペンギン先生

npmで^1.2.3なら、通常2.0.0未満へ進めるけれど、^0.2.3なら0.3.0未満など、0.xは違うよ。~も省略した桁で範囲が変わる。具体的な指定を公式の規則で読むのが確実だね。

ひよこ

ロックがあれば、誰のPCでも絶対同じ？

ペンギン先生

解決した依存をそろえる助けにはなるよ。でもOSやランタイム、設定、スクリプト、外部サービス等も結果に関わる。ロックだけでビルドや実行結果のすべてを保証するわけではないんだ。

ひよこ

npm installとnpm ciは同じ？

ペンギン先生

installは指定との整合に応じてロックを更新する場合があるよ。ciは既存のロックを使い、不一致なら失敗し、既存node_modulesを取り除いて入れ直す。プロジェクトの指定する道具と設定に合わせよう。

ひよこ

npm ciを使えば、悪いパッケージも防げる？

ペンギン先生

ロックに従うことと、内容が信用できることは別だよ。名前の取り違え、取得先、更新差分、インストール時のスクリプト等も見る。既知の脆弱性の検査で、未知の悪意まで必ず検出できるわけではないんだ。

ひよこ

npmとpipとpnpm、どれがいい？

ペンギン先生

対象の言語やプロジェクトの手順が先だよ。PythonのpipはPipfile.lockを作る道具ではないし、pnpmの配置やスクリプトの制御も版で確認する。READMEとCIで使う道具をそろえるところから始めよう。

まずは、小さな道具を1つ使ってみる

パッケージマネージャーは、ライブラリ等の追加や依存の解決を助ける道具です。Node.jsとnpmが使えるなら、既存プロジェクトとは別の新しい練習用フォルダーを作り、その中で次を実行してみましょう。公開レジストリへの通信が必要です。

npm init -y
npm install --save-exact picocolors@1.1.1 --ignore-scripts

次をdemo.cjsへ保存し、node demo.cjsで実行します。

const pc = require("picocolors");
console.log(pc.green("道具を使えました"));

「道具を使えました」と表示されます。色への対応状況によって緑になるかは変わります。ここで使う版を明示しているので、最新版を選ぶ操作とは別です。

3つの場所を見比べる

欲しい版の条件と、解決した記録は別です。依存がさらに別の依存を必要とすると、間接的に使うパッケージも増えます。node_modulesの配置方式はnpm・pnpm・Yarn等で違い、直接指定していないパッケージを偶然使えたことへ依存しないようにします。

版の範囲は、道具ごとの規則で読む

npmのsemverで、通常の安定版の例を読むと次のようになります。プレリリースには別の条件があります。

すべてのパッケージがsemverを正しく守るという保証でも、pipやaptで同じ記号を使うという意味でもありません。PythonのpipとPipenv等の別の道具も区別します。

もう少し詳しく：再現性と取得元の確認

npm ciはロックが必要で、package.jsonと合わなければ更新せず失敗します。既存のnode_modulesは先に取り除かれます。ロック作成時に依存の形へ影響する設定を使った場合、ci側にも同じ設定が必要です。

ロックは依存をそろえる助けですが、その取得先や内容まで安全だと判定するものではありません。ロックだけが変わるPRでも、版・URL・追加された依存・スクリプトなどを確認します。npm audit等の結果に加えて、未知の悪意や出所も検討します。

練習の—ignore-scriptsはインストール時のスクリプトを抑える指定です。必要なビルドを行う依存もあるため、既存プロジェクトで一律に替えず、何が必要か確認します。npm run等で明示したスクリプトの実行は別です。pnpmのスクリプト制御も利用する版の規則を読みます。

🐧 ペンギン先生のまとめ：「パッケージマネージャー」って出てきたら「必要な道具と、その道具の依存をそろえる係」と思えばだいたいOK！

プロジェクトの選択はnpm・Yarn・pnpmの比較、Pythonの道具はuvとpipの比較で続けて見てみましょう。

参考資料

• npm：npm install — 指定とロックの整合・取得元・依存配置
• npm：npm ci — ロック・不一致・node_modules再作成・スクリプト
• npm：node-semver — caret/tildeと0.x・プレリリースの条件
• picocolors：README — 色付けのAPIと色の対応条件